IEC 62443 Zonen und Conduits erklärt: Ein praxisnaher Leitfaden zur OT-Segmentierung

01Wichtigste Erkenntnisse

1. 01

   IEC 62443 ist die ISA/IEC-Normenreihe für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme.

2. 02

   Eine Zone fasst Assets mit gemeinsamen Sicherheitsanforderungen zusammen; ein Conduit ist die definierte Verbindung zwischen Zonen.

3. 03

   Security Level drücken aus, wie stark der Schutz sein muss, den eine Zone oder ein Conduit bieten soll.

4. 04

   Guter Entwurf bedeutet, reale Datenflüsse den Conduits zuzuordnen und dann Kontrollmittel zu wählen, die zu jedem Conduit passen.

5. 05

   Firewalls, Datendioden und Trennung sind einander ergänzende Werkzeuge, um unterschiedliche Arten von Conduits durchzusetzen.

02Was IEC 62443 ist

IEC 62443, gemeinsam mit der ISA entwickelt, ist eine Normenreihe zur Sicherheit industrieller Automatisierungs- und Steuerungssysteme. Sie umfasst Mensch, Prozess und Technik und deckt alles ab – vom Programm-Management bis zu technischen Anforderungen an Systeme und Komponenten.

Für die Netzwerkarchitektur ist ihr einflussreichster Beitrag das Zonen-und-Conduits-Modell. Es gibt Teams eine strukturierte Methode an die Hand, um über Segmentierung nachzudenken, statt ein OT-Netz als einen einzigen flachen Raum zu behandeln.

Die Kernidee: Assets nach Sicherheitsbedarf in Zonen gruppieren und ihnen die Kommunikation nur über definierte Conduits erlauben.

03Zonen und Conduits definiert

Zone

Eine Gruppierung von Assets, die gemeinsame Sicherheitsanforderungen teilen – auf Basis von Funktion, Risiko und Auswirkung. Alles in einer Zone wird auf einem ähnlichen Vertrauensniveau behandelt.

Conduit

Ein definierter Kommunikationspfad zwischen Zonen. Sämtlicher Verkehr, der eine Zonengrenze überschreitet, sollte durch einen Conduit laufen, wo er kontrolliert werden kann.

Vertrauensgrenze

Der Rand einer Zone, an dem der Unterschied im Vertrauen zwischen zwei Zonen durch die Kontrollmittel des Conduits durchgesetzt wird.

Die Disziplin, die das Modell auferlegt, besteht darin, dass es keinen ungeregelten Übergang zwischen Zonen geben sollte. Wenn Verkehr zwischen Zonen wandert, dann durch einen Conduit, den Sie bewusst entworfen haben.

04Security Level und ihre Bedeutung

IEC 62443 verwendet Security Level, um auszudrücken, wie stark der Schutz sein muss. Statt eines vagen Gefühls von Wichtigkeit wird einer Zone oder einem Conduit ein Ziel-Security-Level auf Basis der Bedrohung zugewiesen, der er standhalten muss.

Die Level reichen vom Schutz gegen zufällige oder versehentliche Exposition bis hin zum Schutz gegen versierte, gut ausgestattete und entschlossene Angreifer. Ein Ziel-Security-Level für eine Zone bestimmt die Anforderungen an die Conduits, die sie berühren: Eine Zone mit hoher Auswirkung rechtfertigt stärkere Conduit-Kontrollen.

Der praktische Nutzen liegt im Vergleich. Durch die Zuweisung von Ziel-Levels kann ein Team erkennen, wo der aktuelle Entwurf zu kurz greift, und die Conduits priorisieren, die die folgenreichsten Zonen schützen.

05Datenflüsse den Conduits zuordnen

Gute Segmentierung beginnt bei realen Datenflüssen, nicht bei einem Diagramm idealer Netze. Für jeden Fluss, der eine Zonengrenze überschreitet, sollte der Entwurf angeben, was sich bewegt, in welche Richtung und warum.

• Jeden Fluss, der eine Zonengrenze überschreitet, und den geschäftlichen Grund dafür identifizieren.
• Die erforderliche Richtung angeben: bidirektionaler Austausch oder Veröffentlichung in nur eine Richtung.
• Dem Conduit eine Anforderung auf Basis des Ziel-Security-Levels der Zonen zuweisen, die er verbindet.
• Flüsse entfernen, die nur aus Gewohnheit bestehen; der beste Conduit ist oft der, den man nicht braucht.
• Den Conduit dokumentieren, damit sein Zweck und seine Richtung über die Zeit überprüfbar bleiben.

06Wo Firewalls, Dioden und Trennung passen

Unterschiedliche Conduits erfordern unterschiedliche Kontrollmittel. Das Modell schreibt keine einzelne Technologie vor; es verlangt, jeden Conduit angemessen für den Fluss und den Vertrauensunterschied durchzusetzen.

Firewall-Conduit

Für geregelten bidirektionalen oder gerichteten Verkehr, der zwischen Zonen Policy, Inspektion und Protokollierung benötigt.

Datendioden-Conduit

Für reine Veröffentlichungsflüsse, bei denen eine Zone mit höherem Vertrauen Daten nach außen sendet und kein Verkehr über diesen Pfad zurückkehren soll.

Standardmäßig getrennter Conduit

Für Flüsse, die nur zeitweise benötigt werden und bei denen der Conduit nur während genehmigter Zeitfenster physisch offen ist.

Für Conduits, die standardmäßig einseitig oder offline sein sollten, kann ein AIRGAPNET Muster für kontrollierte Konnektivität neben Firewalls und Datendioden in Betracht gezogen werden, sodass das Kontrollmittel zum Conduit passt, statt jede Grenze in dieselbe Form zu pressen.

07Häufige Fehler

• Zonen auf dem Papier zeichnen, aber ungeregelte Übergänge im realen Netz belassen.
• Jeden Conduit als Firewall-Problem behandeln, obwohl manche Flüsse einseitig oder zeitweise sind.
• Security Level einmal zuweisen und nie erneut prüfen, während sich das System verändert.
• Conduits über die Zeit Flüsse ansammeln lassen, bis sie den dokumentierten Entwurf nicht mehr widerspiegeln.
• Vergessen, dass die Kontrollmittel des Conduits eigene Management-Ebenen haben, die zu schützen sind.

Das Modell ist nur so gut wie die Disziplin dahinter. Zonen und Conduits gelingen, wenn der dokumentierte Entwurf und das laufende Netz dieselbe Sache bleiben.

08Schlussgedanke

Zonen und Conduits geben OT-Teams eine gemeinsame Sprache für die Segmentierung: nach Vertrauen gruppieren, über definierte Pfade verbinden und die Kontrollmittel an die Auswirkung anpassen. Das macht aus einem abstrakten Ziel einen konkreten, überprüfbaren Entwurf.

Beginnen Sie bei den Flüssen, weisen Sie ehrliche Security Level zu und wählen Sie das Kontrollmittel, das zu jedem Conduit passt. Das Ergebnis ist eine Architektur, die Sie erklären, verteidigen und belegen können.

FAQHäufig gestellte Fragen

SRCQuellen